O impacto de partículas com elevada energia na estrutura semicondutora dos circuitos electrónicos tem efeitos que se reflectem no seu funcionamento. Durante o impacto, as partículas perdem energia, principalmente através de um processo de ionização, que se traduz numa concentração pontual de carga na estrutura semicondutora. Esta concentração de carga induz um conjunto de efeitos que podem ter carácter transitório ou permanente. Neste último caso pode ter consequências catastróficas do ponto de vista da integridade do dispositivo electrónico. Na perspectiva de análise do funcionamento dos circuitos electrónicos, este processo de ionização traduz-se no seguinte conjunto de eventos [LaBel96]:
• Single Event Upset (SEU). Está associado a uma alteração de estado transitória, induzida pela ionização de partículas como raios cósmicos ou de protões. Esta alteração de estado pode ocorrer em circuitos analógicos, digitais ou mesmo ópticos. Em termos digitais o seu efeito pode traduzir-se pela inversão de bits (bit flip);
• Multiple Bit Upset (MBU). Este tipo de evento partilha as características fundamentais do SEU. Contudo em circuitos de elevada densidade, a carga gerada pelo processo de ionização pode afectar partes do substrato que são partilhadas por diferentes elementos do circuito, e desta forma produzir múltiplas mudanças de estado;
• Single Event Latchup (SEL). Este evento ocorre quando a carga gerada pela energia das partículas provoca uma disrupção da normal operação dos transístores que constituem o circuito. Este processo provoca a perda parcial da funcionalidade do circuito, e gera correntes elevadas no local onde o evento ocorreu. Isto está geralmente associado à existência na estrutura semicondutora de transístores bipolares parasitas. Através do processo de ionização estes transístores
parasitas podem originar o aparecimento de uma configuração semelhante a um rectificador controlado. Quando activado no modo de condução, esta configuração pode produzir efeitos catastróficos no circuito electrónico que o levem à destruição. Embora a maior parte dos actuais circuitos possuam circuitos especialmente concebidos para proteger destas situações - latchup (clamp circuits), estes são aplicados unicamente nas entradas e saídas do circuito. Assim, a ocorrência destes eventos no seu interior pode ter graves consequências para a sua integridade.
O impacto que estes eventos têm no funcionamento dos circuitos electrónicos, associado à possibilidade do seu carácter destrutivo, obriga que a sua ocorrência seja considerada e objecto de estudo. Este estudo é efectuado em duas vertentes:
• Uma relacionada com a análise da susceptibilidade dos circuitos electrónicos a estes eventos, e estudo das técnicas que minimizem a probabilidade de ocorrência;
• Uma outra inserida numa perspectiva da análise da confiança no funcionamento do sistema quando este é afectado por este tipo de eventos.
Embora em aplicações no domínio da indústria aeroespacial os SEU’s causados pelos raios cósmicos sejam um problema com uma importância significativa, o seu estudo em aplicações de âmbito terrestre não representam um problema de igual grandeza. Isto, não obstante as evoluções tecnológicas que se verificaram no sentido do aumento de frequência de trabalho e a diminuição da escala dos semicondutores aumentar a possibilidade de interferências que produzem eventos semelhantes. Contudo nestas últimas aplicações o estudo dos efeitos dos SEU’s é importante na perspectiva da avaliação da capacidade dos mecanismos de detecção e de recuperação de faltas.
Duas das técnicas mais usadas para efectuar este tipo de análise são: • Técnicas baseadas em aceleradores de partículas;
• Técnicas baseadas em fontes radioactivas.
3.6.2.2.1 Técnicas Baseadas em Aceleradores de Partículas
A aplicação combinada de campos eléctricos e de campos magnéticos com o propósito de fornecer energia a partículas com carga eléctrica, produz nestas um efeito de aceleração. Este processo designado por aceleração de partículas é usado nos mais diversos domínios de aplicação, incluindo no estudo dos efeitos da colisão de partículas de alta energia na estrutura semicondutora de circuitos electrónicos.
O ciclotrão (cíclotron) é um equipamento que pode ser usado para este efeito. A sua aplicação consiste na geração de um feixe de partículas orientado para zonas vulneráveis do circuito objecto de avaliação. A incidência deste feixe num circuito, a que previamente foi removida parte do encapsulamento e colocado em
câmara de vácuo, produz na sua estrutura SEU’s, que se traduzem em inversões de bits (Fig. 3.9).
Figura 3.9 - Bombardeamento da estrutura semicondutora por partículas de alta energia.
Sustentado num panorama de grande desenvolvimento da indústria aeroespacial, com vertentes quer comerciais, como sejam a utilização de satélites de comunicações, quer para fins científicos, de que é exemplo a construção da estação espacial internacional, tem surgido uma cada vez maior solicitação de sistemas baseados em microprocessadores, cuja arquitectura permita elevado desempenho na execução de operações complexas, e sobretudo que tenham funcionamento seguro, mesmo neste tipo de ambiente.
Entre essas arquitecturas encontra-se a do microprocessador ERC32, um processador de 32 bits desenvolvido pela Agencia Espacial Europeia. O ERC32 baseia a sua arquitectura no processador Cypress CY601 SPARC V7, e inclui mecanismos para detectar e isolar erros causados por SEU [Gaisler97]. Integrado num processo evolutivo de cariz tecnológico foi desenvolvido o LEON-FT, um processador também ele de 32 bits tolerante a faltas que implementa o conjunto de instruções SPARC V8. O processador foi concebido para tolerar erros causados por SEU, com recurso a mecanismos de tolerância a erros baseados em técnicas nas quais é implementada: redundância modular tripla em registos (TMR - Triple Modular Redundancy), detecção e correcção de erros no próprio circuito, protecção de integridade de dados por bits de paridade, etc. [Gaisler02].
Estas arquitecturas foram submetidas a um processo de validação baseado na realização de experiências de injecção de faltas, com o objectivo de avaliar a forma como os seus mecanismos detectam e toleram a ocorrência de SEU’s. No processo de validação foram utilizadas ferramentas de injecção de faltas tendo sido o ciclotrão escolhido como configuração para o injector.
As experiências demonstraram a eficiência dos mecanismos implementados, no processador ERC32. No caso do LEON-FT as experiências mostraram a
validade da arquitectura implementada no processador na detecção de erros, embora tenham sido detectadas algumas anomalias quando o processador era exposto a um elevado fluxo de partículas.
Estes dois casos mostram a importância e a aceitação da técnica de aceleração de partículas para este tipo de análise. Contudo, a utilização do ciclotrão como injector de faltas, coloca algumas dificuldades na execução das experiências. Estas dificuldades estão relacionadas com o facto da técnica não garantir o controlo sobre o processo de injecção. Significa isto, que não é possível assegurar que a falta é efectivamente injectada, dado que a ocorrência de um SEU depende da energia das partículas e do consequente processo de ionização. Da mesma forma o controlo temporal e o local onde os eventos ocorrem também é de difícil controlo. Para suprir estas dificuldades é utilizada uma técnica semelhante à referida na técnica de radiação electromagnética, em que os dados da experiência são obtidos por comparação com o funcionamento de um circuito de referência, que executa de forma síncrona a mesma aplicação (software).
3.6.2.2.2 Técnicas Baseadas em Fontes Radioactivas
A utilização de aceleradores de partículas, como injectores de faltas, é um processo dispendioso quando comparado com outras técnicas de radiação. Uma técnica muito mais favorável do ponto de vista económico consiste na utilização de uma fonte radioactiva.
A aplicação desta técnica pode apresentar algumas restrições, quando o objecto de estudo se prende com a análise da susceptibilidade dos circuitos à ocorrência de SEU, uma vez que nem todos os semicondutores são igualmente sensíveis a esta fonte de radiação, e o tipo de partículas em jogo pode não ser representativo das várias partículas que levam à ocorrência de SEU. Não obstante, esta limitação, a sua utilização numa perspectiva de exercitação dos mecanismos de detecção de erros e avaliação da confiança no funcionamento, não é influenciada de forma significativa por esses factores [Karlson94].
Uma fonte radioactiva que pode ser aplicada para esta função e que se encontra disponível comercialmente é o Californium-252 (Cf252). A sua aplicação como injector de faltas processa-se através da radiação directa de partículas sobre o circuito objecto de avaliação. A fonte radioactiva é inserida numa câmara selada, na qual, por uma questão de aumento de eficiência do processo, é produzido vácuo, e o encapsulamento do circuito é removido, ficando assim exposto às partículas de alta energia provenientes da fonte radioactiva [Gunneflo87] [Gunneflo89]. De forma a permitir que as experiências decorram de forma controlada, são também implementados mecanismos na câmara, que permitem variar ou mesmo anular a quantidade de partículas a que o circuito é exposto (Fig. 3.10) [Karlson94].
Figura 3.10 - Câmara de vácuo para injecção de faltas através de partículas radioactivas.
A ferramenta FIST (Fault Injection system for Study of Transient fault effects) desenvolvida na Universidade de Chalmers (Suécia) aplica esta técnica, e foi utilizada com dois propósitos.
Um, o de analisar a viabilidade da sua aplicação à injecção de faltas no interior de circuitos electrónicos. Neste sentido foi realizado um conjunto de experiências no microprocessador MC6809E da Motorola, tendo sido verificado que as faltas são injectadas por todo o circuito, e apresentando como resultado uma grande diversidade de erros, com a correspondente exercitação dos vários mecanismos de detecção de erros do processador. Estes resultados revelam características que conferem à técnica uma grande utilidade na avaliação da confiança no funcionamento de sistemas, nomeadamente de aplicações baseadas em microprocessadores. Foi também possível identificar alguns problemas associados à técnica, nomeadamente relacionados com questões de segurança, que derivam da manipulação de uma fonte radioactiva. Desta forma, foram sugeridas configurações para que a fonte radioactiva seja incorporada dentro do encapsulamento do circuito integrado que se pretende testar [Karlsson94].
Consubstanciado no facto de ter sido demonstrada a sua utilidade para proceder à injecção de faltas no interior de circuitos, esta técnica foi utilizada com um segundo propósito, o de meio complementar de avaliação de uma arquitectura de comunicação de tempo-real tolerante a faltas. Arquitectura essa que faz parte integrante do sistema MARS (Maintainable Real-Time System) [Kopetz89] [Arlat03] [Karlsson95] [Folkesson99].